Le PDG de Bybit, Ben Zhou, déclare que 88,87 % de ce que Lazarus a volé est encore traçable

Le PDG de Bybit, Ben Zhou, a révélé jeudi que 88,87 % des 1,4 milliard de dollars volés en crypto-monnaies sur l'échange restent traçables, malgré les mouvements de fonds du groupe Lazarus à travers des mélangeurs de bitcoins.

Les actifs volés, composés de 500 000 ETH, ont été largement convertis en 12 836 BTC et sont désormais répartis sur 9 117 portefeuilles. Zhou, qui a publié une analyse détaillée de la cyberattaque sur X, a confirmé que 3,54 % des fonds volés ont déjà été gelés, tandis que 7,59 % ont disparu sur le dark web. Le reste ? Toujours à portée de main — mais les pirates font tout leur possible pour effacer leurs traces.

L'attaque a propulsé la Corée du Nord au troisième rang des gouvernements détenant du Bitcoin, le pays contrôlant désormais 13 562 BTC d'une valeur de plus de 1,14 milliard de dollars. Les seuls gouvernements à détenir plus sont les États-Unis, avec 198 109 BTC évalués à 16,71 milliards de dollars, et le Royaume-Uni, qui détient 61 245 BTC d'une valeur de 5,17 milliards de dollars.

Le Bhoutan et le Salvador ont été relégués dans le classement, détenant désormais respectivement 10 635 BTC et 6 117 BTC. Cette augmentation soudaine des réserves de Bitcoin de la Corée du Nord est survenue quelques jours avant que Donald Trump ne signe un décret exécutif établissant la Réserve Stratégique de Bitcoin (SBR), intensifiant les spéculations sur la stratégie à long terme de Pyongyang en matière de crypto-monnaies.

Les pirates ont utilisé des mélangeurs pour masquer le Bitcoin volé

Le message de Zhou a révélé que 86,29 % des actifs volés — environ 1,23 milliard de dollars en ETH — ont été convertis en Bitcoin et répartis sur 9 117 portefeuilles. Les pirates ont commencé à utiliser des mélangeurs immédiatement, envoyant au moins 193 BTC au Wasabi Mixer avant de disperser les fonds blanchis via divers vendeurs pair-à-pair (P2P).

« Nous pensons que cette tendance va s'amplifier à mesure que davantage de fonds passeront par des mélangeurs », a écrit Zhou. Il a reconnu que le suivi des transactions mélangées est devenu le défi numéro un et a appelé les chasseurs de primes à les aider à les décrypter. Au cours des 30 derniers jours, Bybit a reçu 5 012 rapports de primes, mais seulement 63 étaient valides. Zhou a clairement indiqué qu'il fallait davantage de chasseurs de primes.

Bybit a ignoré les risques de sécurité avant l'attaque

Lors d'un entretien, Zhou a admis que Bybit avait reçu des avertissements concernant des failles de sécurité plusieurs mois avant la cyberattaque. Il a révélé que l'échange avait remarqué, trois à quatre mois avant l'attaque, que Safe, le logiciel compromis, n'était pas entièrement compatible avec le cadre de sécurité de Bybit.

« Nous aurions dû mettre à niveau et nous éloigner de Safe », a déclaré Zhou. « Nous sommes certainement en train de le faire maintenant. »

Rahul Rumalla, directeur du produit chez Safe, a répondu en défendant l'entreprise, affirmant que de nouvelles fonctionnalités de sécurité avaient déjà été introduites. « Notre travail n'est pas seulement de corriger ce qui s'est passé, mais de s'assurer que tout l'espace en tire les leçons pour que cela ne se reproduise pas », a déclaré Rumalla.

L'audit interne de Bybit a révélé que les pirates s'étaient infiltrés dans le système de Safe bien avant le vol. L'ordinateur d'un développeur a été compromis, permettant aux attaquants d'installer du code malveillant et de manipuler les transactions. L'attaque finale a été exécutée via une demande de transaction frauduleuse envoyée directement à Zhou, qui a approuvé le transfert sans le savoir. Au moment où il a signé, les pirates ont vidé 1,5 milliard de dollars de crypto-monnaies.

La sortie de fonds a été immédiatement visible sur la blockchain, et les analystes crypto ont rapidement lié le vol au groupe Lazarus, un syndicat de pirates informatiques nord-coréen. Zhou a réagi en se rendant précipitamment au bureau de Bybit à Singapour et en déclenchant une réponse d'urgence connue en interne sous le nom de P-1, réveillant toute l'équipe de direction.

Les utilisateurs de Bybit ont retiré des milliards après la cyberattaque

Le marché a réagi rapidement. Zhou a promis aux utilisateurs sur X que Bybit restait solvable, publiant :

« Même si cette perte due à la cyberattaque n'est pas récupérée, les actifs de tous les clients sont garantis au ratio 1:1. Nous pouvons couvrir la perte. »

Cette assurance n'a pas empêché les retraits de panique. En quelques heures, les utilisateurs ont retiré près de 10 milliards de dollars de la plateforme. L'ensemble du marché des crypto-monnaies en a subi les conséquences.

D'autres entreprises de crypto-monnaies sont intervenues pour stabiliser la situation. Gracy Chen, PDG de Bitget, a prêté à Bybit 40 000 ETH (d'une valeur d'environ 100 millions de dollars) — sans intérêts ni garantie. « Nous n'avons jamais mis en doute leur capacité à nous rembourser », a déclaré Chen.

Entre les réunions de crise, Zhou a continué à tenir les utilisateurs informés sur X, publiant même une capture d'écran d'une application de santé montrant que ses niveaux de stress étaient inhabituellement bas.

« Trop concentré à diriger toutes les réunions. J'ai oublié de stresser », a-t-il écrit. « Je pense que ça va arriver bientôt quand je commencerai vraiment à saisir l'ampleur de la perte de 1,5 milliard de dollars. »

Pendant ce temps, le groupe Lazarus continuait de blanchir les fonds volés. Utilisant une stratégie de blanchiment d'argent observée lors de précédentes cyberattaques, ils ont dispersé les actifs sur d'innombrables portefeuilles, les acheminant via des mélangeurs et des réseaux pair-à-pair. Malgré le gel de certains fonds par Bybit et d'autres échanges, le suivi du reste est devenu une course contre la montre.